[Telesis]

Во мысль уже до /32 дошли, кто меньше.

[EvilShadow]

Во мысль уже до /32 дошли, кто меньше.

Дальше в обратную сторону - клиент будет выдавать провайдеру адреса

[Nallien]

НАТить белые адреса серым клиентам конечно можно, мы так и делаем, дабы белые не тратить. но в случае если клиент юрик, или с особыми требованиями - придется таки выдавать ему небольшую подсеть /30.

 

можно конечно пробовать шаманить с 31 и 32, но реально и что важнее - правильно - тольо 30 и более имхо.

[Heggi]

Во мысль уже до /32 дошли, кто меньше.

/32 это уже в сторону unnumbered vlan глядеть

[Stak]

<br />

хм.. а почему не <u><b>/31</b></u> ?

<br /><a href="http://en.wikipedia.org/wiki/Subnetwork" target="_blank">http://en.wikipedia.org/wiki/Subnetwork</a><br />

In general the number of available hosts on a subnet can be calculated using the formula 2ⁿ - 2, where n is the number of bits used for the host portion of the address.<br /><br /><a href="http://tools.ietf.org/html/rfc3021" target="_blank">RFC 3021</a> specifies an exception to this rule when dealing with 31 bit subnet masks (i.e. 1 host bit). According to the above rule a 31 bit mask would allow for 21 − 2 = 0 hosts. The RFC makes allowances in this case for certain types of networks (point-to-point) to disregard the network and broadcast address, allowing two host addresses to be allocated.

<br />

<br /><br /><br />

 

У Вас устаревшие сведения))) /31 давно и прекрасно работает на циске.

[Alexandr Ovcharenko]

Господа, вы путаете маску СЕТИ и маску АДРЕСОВ. Сеть /31 создать можно, но только не в случае клиент-сервер. Telesis, Вы продемонстрировали, что интерфейсу можно назначить адрес из такой сети? "Молодец, возьми с полки порожок". А теперь попробуйте другой машине назначить второй адрес и передать файлик между ними...

Stak, в каждом учебнике по циске жирным шрифтом выделено, что не надо путать маски адресов и сетей!

Адрес с маской /32 на конце тунеля (у клиента) ни о чем не говорит о сети - это ведь конец тунеля! На самом деле этот адрес входит в сеть с маской > /30 на сервере. Почитайте о принципах ТУНЕЛИРОВАНИЯ.

[white_crow]

Не замечал никаого гемора - клиент скачивает с локального сайта скриптик "Автоматическя настройка VPN", запускает - и вуаля - настроенный ярлык на рабочем столе.

 

К тому же, людей, которым нужен белый адрес - очень мало и они более продвинутые. Остальных NAT устраивает. А белых адресов мало и за них надо платить всё время....

 

А какие проблемы у вас возникают с VPN?

1 по поводу ярлыка ... а если у клиента не ПК, а домашний роутер? или на домашнем ПК не Винда, а Mac или Linux?

2 VPN я так понимаю PPTP? Тогда в случае открытого межабонентского трафика, маршруты для других подсетей прийдется отдавать по DHCP.

 

я считаю что лучше определиться - либо PPP, либо IPoE/DHCP, а скрещивать ежа с ужом...

 

II. что такое svi ? кому не лень суть написать?

грубо говоря SVI - это VLAN исполняющий L3 функции (VLAN с назначенным ip-адресом)

1. "Если у клиента не ПК , а домашний роутер..." - никаких проблем. У нас нормально работают балалайки в сети типа D_link xx100. На нём отлично поднимается ВПН pptp (без шифрования). так же хорошо работают и вай-фай мыльницы. Если надо - используем авторизацию по IP (выдаём по DHCP - привязка либо к порту (Ethernet, либо к mac модема в DOCSIS), ведь , как я уже говорил - у нас DHCP+relay+option82+DHCP-snooping+arp-inspection - то бишь ручками чужой IP адрес не пропишешь себе. А на MAC адреса клиентских устройств (CPE) мы ложили....

С Linux у клиента тоже всё ок. Дауны Линукс не ставят. Там поднять впн - не проблема. Если вдруг клиент даун и у него "пингвин" и он не может впн поднять, мы ему за деньги поможем, или авторизацию по ip сделаем.

Тоже с MACos - нормально люди работают.

2. Да - у нас vpn : pptp, да - межабоненсткий траф по желанию - открыватся (за доп. плату). и да - по DHCP маршруты отлично передаём (всего два-три маршрута "агульно" на сети с более "агульной маской"), чтобы в тунель не шло лишнее, в чём проблема? Нет тут никакой проблемы.

 

 

 

так что про ужа с ежом я не понял. мы используем любые варианты авторизации для клиента, любые возможности.... Хочешь - vpn, хочешь без шифрования, хочешь ip авторизация, хочешь - авторизация по ideco agent, хочешь - дадим белый адрес в аренду. Хочешь - межабонский трафик откроем, хочешь - свяжем юриков в один общий VLAN. Хочешь - по VPN свяжем.

[Telesis]

Господа, вы путаете маску СЕТИ и маску АДРЕСОВ. Сеть /31 создать можно, но только не в случае клиент-сервер. Telesis, Вы продемонстрировали, что интерфейсу можно назначить адрес из такой сети? "Молодец, возьми с полки порожок". А теперь попробуйте другой машине назначить второй адрес и передать файлик между ними...

Stak, в каждом учебнике по циске жирным шрифтом выделено, что не надо путать маски адресов и сетей!

Адрес с маской /32 на конце тунеля (у клиента) ни о чем не говорит о сети - это ведь конец тунеля! На самом деле этот адрес входит в сеть с маской > /30 на сервере. Почитайте о принципах ТУНЕЛИРОВАНИЯ.

Спасибо за ПИРОЖОК - очень актуально.

Можно не только назначить и работать. Работал в такой схеме больше полугода стык с Синтеррой (Сisco<>Juniper инет-канал,FV BGP).

А для работы 1_клиент-1_сервер больше 2-IP ненадо.

[Stak]

<br />Господа, вы путаете маску СЕТИ и маску АДРЕСОВ. Сеть /31 создать можно, но только не в случае клиент-сервер. Telesis, Вы продемонстрировали, что интерфейсу можно назначить адрес из такой сети? "Молодец, возьми с полки порожок". А теперь попробуйте другой машине назначить второй адрес и передать файлик между ними...<br />Stak, в каждом учебнике по циске жирным шрифтом выделено, что не надо путать маски адресов и сетей!<br />Адрес с маской /32 на конце тунеля (у клиента) ни о чем не говорит о сети - это ведь конец тунеля! На самом деле этот адрес входит в сеть с маской > /30 на сервере. Почитайте о принципах ТУНЕЛИРОВАНИЯ.<br />

<br /><br /><br />

И как же интересно тогда работает сетка одной топливной компании , модернизированная в 2007 году на такую адресацию по моему проекту?

 

Кусок конфига:

!
interface GigabitEthernet1/1
description --- Link to ND_11
switchport
switchport trunk encapsulation dot1q
switchport trunk allowed vlan 2001-2003
switchport mode trunk
switchport nonegotiate
dampening
no ip address
carrier-delay msec 0
wrr-queue bandwidth 5 25 70 
wrr-queue queue-limit 5 25 40 
wrr-queue random-detect min-threshold 1 80 100 100 100 100 100 100 100 
wrr-queue random-detect min-threshold 2 80 100 100 100 100 100 100 100 
wrr-queue random-detect min-threshold 3 50 60 70 80 90 100 100 100 
wrr-queue random-detect max-threshold 1 100 100 100 100 100 100 100 100 
wrr-queue random-detect max-threshold 2 100 100 100 100 100 100 100 100 
wrr-queue random-detect max-threshold 3 60 70 80 90 100 100 100 100 
wrr-queue cos-map 1 1 1 
wrr-queue cos-map 2 1 0 
wrr-queue cos-map 3 1 4 
wrr-queue cos-map 3 2 2 
wrr-queue cos-map 3 3 3 
wrr-queue cos-map 3 4 6 
wrr-queue cos-map 3 5 7 
mls qos trust dscp
spanning-tree portfast trunk
max-reserved-bandwidth 100
!
!
interface Vlan2004
description --- Link to IT_15_vr1
ip vrf forwarding vr1
ip address **.**.**.226 255.255.255.254
ip ospf network point-to-point
ip ospf dead-interval minimal hello-multiplier 4
!
interface Vlan2005
description --- Link to IT_15_vr2
ip vrf forwarding vr2
ip address 10.10.10.226 255.255.255.254
ip ospf network point-to-point
ip ospf dead-interval minimal hello-multiplier 4
!
interface Vlan2006
description --- Link to IT_15_vr3
ip vrf forwarding vr3
ip address 192.168.10.226 255.255.255.254
ip ospf network point-to-point
ip ospf dead-interval minimal hello-multiplier 4
!

 

Работал в такой схеме больше полугода стык с Синтеррой (Сisco<>Juniper инет-канал,FV BGP).

+1

[lanc]

Если челу нужен белый адрес - выдаём по VPN ему белый адрес- и всё ок. Ходит без NAT в инет. Остальные через NAT.

непонимаю зачем вобще использовать VPN если вся сеть L2-L3

у вас сеть вообще позволяет отказаться от VPN

выдавайте белый IP адрес в отдельном VLAN

частные сети тоже в отдельные вланы если нужно

[white_crow]

Если челу нужен белый адрес - выдаём по VPN ему белый адрес- и всё ок. Ходит без NAT в инет. Остальные через NAT.

непонимаю зачем вобще использовать VPN если вся сеть L2-L3

у вас сеть вообще позволяет отказаться от VPN

выдавайте белый IP адрес в отдельном VLAN

частные сети тоже в отдельные вланы если нужно

Так мы редко используем VPN. Единичные случаи. В основном - в Docsis сегментах. Просто говорю про сам факт - что можно : )

(Юриков из разных сегментов связывают в одну VPN подсеть). Они рады : )))))